OAuth ve Google ile Oturum Açma ile Basitleştirilmiş Bağlantı

Genel Bakış

OAuth tabanlı Google ile Oturum Açma basitleştirilmiş bağlantısı, OAuth bağlantısının üzerine Google ile Oturum Açma'yı ekler. Bu, Google kullanıcıları için sorunsuz bir bağlantı deneyimi sağlar ve hesap oluşturma özelliğini etkinleştirir. Bu sayede kullanıcı, Google Hesabını kullanarak hizmetinizde yeni bir hesap oluşturabilir.

OAuth ve Google ile oturum açma özelliğini kullanarak hesap bağlama işlemini gerçekleştirmek için aşağıdaki genel adımları uygulayın:

1. Öncelikle kullanıcıdan Google profiline erişmek için izin vermesini isteyin.
2. Kullanıcı hesabının mevcut olup olmadığını kontrol etmek için profilindeki bilgileri kullanın.
3. Mevcut kullanıcılar için hesapları bağlayın.
4. Kimlik doğrulama sisteminizde Google kullanıcısıyla eşleşen bir kullanıcı bulamıyorsanız Google'dan alınan kimlik jetonunu doğrulayın. Ardından, kimlik jetonunda bulunan profil bilgilerine göre bir kullanıcı oluşturabilirsiniz.

Şekil 1. Basitleştirilmiş Bağlantı ile kullanıcının telefonunda hesap bağlama

Basitleştirilmiş Bağlantı Oluşturma ile İlgili Şartlar

• Temel web OAuth bağlantısı akışını uygulayın. Hizmetiniz, OAuth 2.0 uyumlu yetkilendirme ve jeton değişimi uç noktalarını desteklemelidir.
• Jeton değişimi uç noktanız JSON Web Jetonu (JWT) iddialarını desteklemeli ve check, create ve get intent'lerini uygulamalıdır.

Not: Bu intent'ler, temel web OAuth bağlantısı akışı için oluşturduğunuz jeton değişimi uç noktasında uygulanmalıdır. Bu amaçları işlemek için farklı bir uç nokta oluşturmayın.

• Google API istemci kimliğinizi kaydedin.

OAuth sunucunuzu uygulama

Jeton değişimi uç noktanız check, create, get intent'lerini desteklemelidir. Aşağıda, hesap bağlama akışında tamamlanan adımlar gösterilmektedir ve farklı intent'lerin ne zaman çağrıldığı belirtilmektedir:

1. Kullanıcının kimlik doğrulama sisteminizde hesabı var mı? (Kullanıcı EVET veya HAYIR'ı seçerek karar verir)
   1. EVET : Kullanıcı, platformunuzda oturum açmak için Google Hesabı ile ilişkili e-postayı kullanıyor mu? (Kullanıcı EVET veya HAYIR'ı seçerek karar verir)
      1. EVET : Kullanıcının kimlik doğrulama sisteminizde eşleşen bir hesabı var mı? (check intent numaralı telefon onay için aranır)
         1. EVET : get intent başarılı bir şekilde döndürülürse get intent çağrılır ve hesap bağlanır.
         2. HAYIR : Yeni Hesap Oluştur? (Kullanıcı EVET veya HAYIR'ı seçerek karar verir)
            1. EVET : create intent başarılı bir şekilde döndürülürse create intent çağrılır ve hesap bağlanır.
            2. HAYIR : Web OAuth akışı tetiklenir, kullanıcı kendi tarayıcısına yönlendirilir ve kullanıcıya farklı bir e-posta ile bağlantı kurma seçeneği sunulur.
      2. HAYIR : Web OAuth akışı tetiklenir, kullanıcı kendi tarayıcısına yönlendirilir ve farklı bir e-posta ile bağlantı kurma seçeneği sunulur.
   2. HAYIR : Kullanıcının kimlik doğrulama sisteminizde eşleşen bir hesabı var mı? (check intent numaralı telefon onay için aranır)
      1. EVET : get intent başarılı bir şekilde döndürülürse get intent çağrılır ve hesap bağlanır.
      2. HAYIR : create intent başarıyla döndürülürse create intent çağrılır ve hesap bağlanır.

Mevcut kullanıcı hesabı olup olmadığını kontrol etme (amacı kontrol edin)

Kullanıcı Google profiline erişim izni verdikten sonra Google, isteği tarafından sağlanır. İlgili içeriği oluşturmak için kullanılan onay işlemi, kullanıcının Google Hesabı kimliğini, ve e-posta adresini girin. Sizin için yapılandırılan jeton değişimi uç noktası: bu isteği yerine getirir.

İlgili Google Hesabı zaten kimlik doğrulamanızda mevcutsa kullanıyorsanız jeton değişimi uç noktanız account_found=true ile yanıt verir. Öğe Google Hesabı mevcut bir kullanıcıyla eşleşmiyor, jeton değişimi uç noktanız account_found=false ile birlikte HTTP 404 Bulunamadı hatası döndürüyor.

Talep aşağıdaki biçimdedir:

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&intent=check&assertion=JWT&scope=SCOPES&client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET

Jeton değişimi uç noktanız aşağıdaki parametreleri işleyebilmelidir:

Jeton uç noktası parametreleri
intent	Bu istekler için bu parametrenin değeri şu şekildedir: check
grant_type	Değişen jetonun türü. Söz konusu parametresi urn:ietf:params:oauth:grant-type:jwt-bearer değerine sahiptir.
assertion	Google Cloud konsolunun imzalı onayını sağlayan bir JSON Web Token (JWT) kullanıcı kimliği. JWT, kullanıcının Google Hesabı kimliği, adı ve e-posta adresi.
client_id	Google'a atadığınız istemci kimliği.
client_secret	Google'a atadığınız istemci gizli anahtarı.

check intent isteklerine yanıt vermek için jeton değişimi uç noktanızın aşağıdaki adımları uygulaması gerekir:

• JWT onayını doğrulayın ve kodunu çözün.
• Google hesabının kimlik doğrulama sisteminizde olup olmadığını kontrol edin.

JWT onayını doğrulama ve kodunu çözme

JWT onayını doğrulamak ve kodunu çözmek için Diliniz için JWT kod çözme kitaplığı. Tekliflerinizi otomatikleştirmek ve optimize etmek için Google'ın genel anahtarları JWK veya PEM biçimlerini doğrulamak için jetonun imzası.

Kodu çözüldüğünde JWT onayı aşağıdaki örnek gibi görünür:

{
  "sub": "1234567890",      // The unique ID of the user's Google Account
  "iss": "https://accounts.google.com",        // The assertion's issuer
  "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID
  "iat": 233366400,         // Unix timestamp of the assertion's creation time
  "exp": 233370000,         // Unix timestamp of the assertion's expiration time
  "name": "Jan Jansen",
  "given_name": "Jan",
  "family_name": "Jansen",
  "email": "[e-mail]", // If present, the user's email address
  "email_verified": true,   // true, if Google has verified the email address
  "hd": "example.com",      // If present, the host domain of the user's GSuite email address
                            // If present, a URL to user's profile picture
  "picture": "https://lh3.googleusercontent.com/a-/AOh14GjlTnZKHAeb94A-FmEbwZv7uJD986VOF1mJGb2YYQ",
  "locale": "en_US"         // User's locale, from browser or phone settings
}

.

Jetonun imzasını doğrulamanın yanı sıra onaylamanın iss alanı https://accounts.google.com ise, (aud alanı) atanmış istemci kimliğinizdir ve jetonun süresinin dolmadığından emin olun. (exp alanı).

email, email_verified ve hd alanlarını kullanarak aşağıdakilerin geçerli olup olmadığını belirleyebilirsiniz: Google, e-posta adreslerini barındırır ve bu adres konusunda yetkilidir. Google'ın, kullanıcının şu anda meşru hesap sahibi olduğu bilinen yetkili Ayrıca şifre veya diğer sorgulama yöntemlerini atlayabilirsiniz. Aksi halde bu yöntemler önce hesabı doğrulamak için kullanılabilir.

Google'ın yetkili olduğu durumlar:

• email adresinin @gmail.com son eki var. Bu bir Gmail hesabı.
• email_verified doğru ve hd ayarlandı. Bu bir G Suite hesabı.

Kullanıcılar, Gmail veya G Suite kullanmadan Google Hesaplarına kaydolabilir. Zaman email, @gmail.com son eki içermiyor ve hd mevcut değilse Google kimlik doğrulama, şifre veya diğer sorgulama yöntemlerinin önerildiğini gösterir. email_verified, Google ilk olarak kullanıcı hesabı sırasında üçüncü tarafın e-posta hesabı değişmiş olabilir.

Google Hesabı'nın kimlik doğrulama sisteminizde olup olmadığını kontrol edin

Aşağıdaki koşullardan herhangi birinin doğru olup olmadığını kontrol edin:

• Onaylamanın sub alanında bulunan Google Hesabı kimliği kullanıcınızda yer alır.
• Onaylamadaki e-posta adresi, kullanıcı veritabanınızdaki bir kullanıcıyla eşleşiyor.

İki koşul da doğruysa kullanıcı zaten kaydolmuş demektir. Böyle bir durumda, şuna benzer bir yanıt döndür:

HTTP/1.1 200 Success
Content-Type: application/json;charset=UTF-8

{
  "account_found":"true",
}

Belgede belirtilen Google Hesabı Kimliği veya e-posta adresi Onaylama, veritabanınızdaki bir kullanıcıyla eşleşiyorsa kullanıcı henüz kaydolmadı. İçinde Bu durumda, jeton değişimi uç noktanızın HTTP 404 hatasıyla yanıt vermesi gerekir değerini döndürür, aşağıdaki örnekte olduğu gibi: "account_found": "false"

HTTP/1.1 404 Not found
Content-Type: application/json;charset=UTF-8

{
  "account_found":"false",
}

Handle automatic linking (get intent)

After the user gives consent to access their Google profile, Google sends a request that contains a signed assertion of the Google user's identity. The assertion contains information that includes the user's Google Account ID, name, and email address. The token exchange endpoint configured for your project handles that request.

If the corresponding Google Account is already present in your authentication system, your token exchange endpoint returns a token for the user. If the Google Account doesn't match an existing user, your token exchange endpoint returns a linking_error error and optional login_hint.

The request has the following form:

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&intent=get&assertion=JWT&scope=SCOPES&client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET

Your token exchange endpoint must be able to handle the following parameters:

Token endpoint parameters
intent	For these requests, the value of this parameter is get.
grant_type	The type of token being exchanged. For these requests, this parameter has the value urn:ietf:params:oauth:grant-type:jwt-bearer.
assertion	A JSON Web Token (JWT) that provides a signed assertion of the Google user's identity. The JWT contains information that includes the user's Google Account ID, name, and email address.
scope	Optional: Any scopes that you've configured Google to request from users.
client_id	The client ID you assigned to Google.
client_secret	The client secret you assigned to Google.

To respond to the get intent requests, your token exchange endpoint must perform the following steps:

• Validate and decode the JWT assertion.
• Check if the Google account is already present in your authentication system.

JWT onayını doğrulama ve kodunu çözme

JWT onayını doğrulamak ve kodunu çözmek için Diliniz için JWT kod çözme kitaplığı. Tekliflerinizi otomatikleştirmek ve optimize etmek için Google'ın genel anahtarları JWK veya PEM biçimlerini doğrulamak için jetonun imzası.

Kodu çözüldüğünde JWT onayı aşağıdaki örnek gibi görünür:

{
  "sub": "1234567890",      // The unique ID of the user's Google Account
  "iss": "https://accounts.google.com",        // The assertion's issuer
  "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID
  "iat": 233366400,         // Unix timestamp of the assertion's creation time
  "exp": 233370000,         // Unix timestamp of the assertion's expiration time
  "name": "Jan Jansen",
  "given_name": "Jan",
  "family_name": "Jansen",
  "email": "[e-mail]", // If present, the user's email address
  "email_verified": true,   // true, if Google has verified the email address
  "hd": "example.com",      // If present, the host domain of the user's GSuite email address
                            // If present, a URL to user's profile picture
  "picture": "https://lh3.googleusercontent.com/a-/AOh14GjlTnZKHAeb94A-FmEbwZv7uJD986VOF1mJGb2YYQ",
  "locale": "en_US"         // User's locale, from browser or phone settings
}

.

Jetonun imzasını doğrulamanın yanı sıra onaylamanın iss alanı https://accounts.google.com ise, (aud alanı) atanmış istemci kimliğinizdir ve jetonun süresinin dolmadığından emin olun. (exp alanı).

email, email_verified ve hd alanlarını kullanarak aşağıdakilerin geçerli olup olmadığını belirleyebilirsiniz: Google, e-posta adreslerini barındırır ve bu adres konusunda yetkilidir. Google'ın, kullanıcının şu anda meşru hesap sahibi olduğu bilinen yetkili Ayrıca şifre veya diğer sorgulama yöntemlerini atlayabilirsiniz. Aksi halde bu yöntemler önce hesabı doğrulamak için kullanılabilir.

Google'ın yetkili olduğu durumlar:

• email adresinin @gmail.com son eki var. Bu bir Gmail hesabı.
• email_verified doğru ve hd ayarlandı. Bu bir G Suite hesabı.

Kullanıcılar, Gmail veya G Suite kullanmadan Google Hesaplarına kaydolabilir. Zaman email, @gmail.com son eki içermiyor ve hd mevcut değilse Google kimlik doğrulama, şifre veya diğer sorgulama yöntemlerinin önerildiğini gösterir. email_verified, Google ilk olarak kullanıcı hesabı sırasında üçüncü tarafın e-posta hesabı değişmiş olabilir.

Check if the Google account is already present in your authentication system

Check whether either of the following conditions are true:

• The Google Account ID, found in the assertion's sub field, is in your user database.
• The email address in the assertion matches a user in your user database.

If an account is found for the user, issue an access token and return the values in a JSON object in the body of your HTTPS response, like in the following example:

{
  "token_type": "Bearer",
  "access_token": "ACCESS_TOKEN",
  "refresh_token": "REFRESH_TOKEN",
  "expires_in": SECONDS_TO_EXPIRATION
}

In some cases, account linking based on ID token might fail for the user. If it does so for any reason, your token exchange endpoint needs to reply with a HTTP 401 error that specifies error=linking_error, as the following example shows:

HTTP/1.1 401 Unauthorized
Content-Type: application/json;charset=UTF-8

{
  "error":"linking_error",
  "login_hint":"[e-mail]"
}

When Google receives a 401 error response with linking_error, Google sends the user to your authorization endpoint with login_hint as a parameter. The user completes account linking using the OAuth linking flow in their browser.

通过 Google 登录功能处理账号创建（创建 intent）

当用户需要在您的服务中创建账号时，Google 会发出请求 发送到指定 intent=create 的令牌交换端点。

请求的格式如下：

POST /token HTTP/1.1
Host: oauth2.example.com
Content-Type: application/x-www-form-urlencoded

response_type=token&grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&scope=SCOPES&intent=create&assertion=JWT&client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET

您的令牌交换端点必须能够处理以下参数：

令牌端点参数
intent	对于这些请求，此参数的值为 create。
grant_type	所交换的令牌的类型。对于这类请求 参数的值为 urn:ietf:params:oauth:grant-type:jwt-bearer。
assertion	一个 JSON Web 令牌 (JWT)，提供 Google 用户身份。JWT 包含的信息包括用户 Google 账号 ID、姓名和电子邮件地址。
client_id	您分配给 Google 的客户 ID。
client_secret	您分配给 Google 的客户端密钥。

assertion 参数中的 JWT 包含用户的 Google 账号 ID。 姓名和电子邮件地址，可用于在 Gmail 中创建新账号 服务。

如需响应 create intent 请求，您的令牌交换端点必须执行以下步骤：

• 验证和解码 JWT 断言。
• 验证用户信息并创建新账号。

JWT onayını doğrulama ve kodunu çözme

JWT onayını doğrulamak ve kodunu çözmek için Diliniz için JWT kod çözme kitaplığı. Tekliflerinizi otomatikleştirmek ve optimize etmek için Google'ın genel anahtarları JWK veya PEM biçimlerini doğrulamak için jetonun imzası.

Kodu çözüldüğünde JWT onayı aşağıdaki örnek gibi görünür:

{
  "sub": "1234567890",      // The unique ID of the user's Google Account
  "iss": "https://accounts.google.com",        // The assertion's issuer
  "aud": "123-abc.apps.googleusercontent.com", // Your server's client ID
  "iat": 233366400,         // Unix timestamp of the assertion's creation time
  "exp": 233370000,         // Unix timestamp of the assertion's expiration time
  "name": "Jan Jansen",
  "given_name": "Jan",
  "family_name": "Jansen",
  "email": "[e-mail]", // If present, the user's email address
  "email_verified": true,   // true, if Google has verified the email address
  "hd": "example.com",      // If present, the host domain of the user's GSuite email address
                            // If present, a URL to user's profile picture
  "picture": "https://lh3.googleusercontent.com/a-/AOh14GjlTnZKHAeb94A-FmEbwZv7uJD986VOF1mJGb2YYQ",
  "locale": "en_US"         // User's locale, from browser or phone settings
}

.

Jetonun imzasını doğrulamanın yanı sıra onaylamanın iss alanı https://accounts.google.com ise, (aud alanı) atanmış istemci kimliğinizdir ve jetonun süresinin dolmadığından emin olun. (exp alanı).

email, email_verified ve hd alanlarını kullanarak aşağıdakilerin geçerli olup olmadığını belirleyebilirsiniz: Google, e-posta adreslerini barındırır ve bu adres konusunda yetkilidir. Google'ın, kullanıcının şu anda meşru hesap sahibi olduğu bilinen yetkili Ayrıca şifre veya diğer sorgulama yöntemlerini atlayabilirsiniz. Aksi halde bu yöntemler önce hesabı doğrulamak için kullanılabilir.

Google'ın yetkili olduğu durumlar:

• email adresinin @gmail.com son eki var. Bu bir Gmail hesabı.
• email_verified doğru ve hd ayarlandı. Bu bir G Suite hesabı.

Kullanıcılar, Gmail veya G Suite kullanmadan Google Hesaplarına kaydolabilir. Zaman email, @gmail.com son eki içermiyor ve hd mevcut değilse Google kimlik doğrulama, şifre veya diğer sorgulama yöntemlerinin önerildiğini gösterir. email_verified, Google ilk olarak kullanıcı hesabı sırasında üçüncü tarafın e-posta hesabı değişmiş olabilir.

验证用户信息并创建新账号

请检查以下任一条件是否成立：

• Google 账号 ID（可在断言的 sub 字段中找到）位于您的用户中 数据库。
• 断言中的电子邮件地址与用户数据库中的用户匹配。

如果满足上述任一条件，请提示用户关联其现有账号 与其 Google 账号关联。为此，请使用 HTTP 401 错误响应请求 该参数指定 error=linking_error 并将用户的电子邮件地址作为 login_hint。以下是示例响应：

HTTP/1.1 401 Unauthorized
Content-Type: application/json;charset=UTF-8

{
  "error":"linking_error",
  "login_hint":"[e-mail]"
}

当 Google 收到包含 linking_error 的 401 错误响应时，会发送 使用 login_hint 作为参数将用户发送到您的授权端点。通过 用户在浏览器中使用 OAuth 关联流程完成账号关联。

如果以上两个条件都不满足，请使用相应信息创建一个新的用户账号 。新账号通常不会设置密码。时间是 建议您将 Google 登录功能添加到其他平台，以便用户 使用 Google 账号登录。或者 可以通过电子邮件向用户发送链接，启动密码恢复流程，以允许 用户设置密码，以便在其他平台上登录。

创建完成后，发出一个访问令牌 并在 HTTPS 响应的正文，如以下示例所示：

{
  "token_type": "Bearer",
  "access_token": "ACCESS_TOKEN",

  "expires_in": SECONDS_TO_EXPIRATION
}

Google API istemci kimliğinizi alma

Hesap Bağlama kaydı sırasında Google API istemci kimliğinizi sağlamanız gerekir.

OAuth Bağlantısı adımlarını tamamlarken oluşturduğunuz projeyi kullanarak API istemci kimliğinizi almak için. Bunun için aşağıdaki adımları uygulayın:

2. Bir Google API'leri projesi oluşturun veya seçin.

   Projenizde web uygulaması türü için istemci kimliği yoksa İstemci oluştur'u tıklayarak istemci kimliği oluşturun. Sitenizin alanını Yetkilendirilmiş JavaScript kaynakları kutusuna eklediğinizden emin olun. Yerel testler veya geliştirme yaparken Yetkili JavaScript kaynakları alanına hem http://localhost hem de http://localhost:<port_number> eklemeniz gerekir.

   Önemli Bilgi: Yerel testler veya geliştirme için Yetkilendirilmiş JavaScript kaynakları alanına hem http://localhost hem de http://localhost:<port_number> ekleyin.

   Not: Client-ID aşağıdaki örnek gibi görünür:

   1234567890-abc123def456.apps.googleusercontent.com
   

Uygulamanızı doğrulama

您可以使用 OAuth 2.0 Playground 工具验证您的实现。

在该工具中，执行以下步骤：

1. 点击配置 以打开 OAuth 2.0 配置窗口。
2. 在 OAuth flow 字段中，选择 Client-side（客户端）。
3. 在 OAuth 端点字段中，选择自定义。
4. 在相应字段中指定您的 OAuth 2.0 端点和您分配给 Google 的客户端 ID。
5. 在第 1 步部分，不要选择任何 Google 范围。请将此字段留空或输入对服务器有效的范围（如果您不使用 OAuth 范围，则可以输入任意字符串）。完成后，点击授权 API。
6. 在 Step 2 和 Step 3 部分中，完成 OAuth 2.0 流程，并验证每个步骤是否按预期运行。

您可以使用 Google 账号关联演示版工具验证您的实现。

在该工具中，执行以下步骤：

1. 点击使用 Google 账号登录按钮。
2. 选择您要关联的账号。
3. 输入服务 ID。
4. （可选）输入您要请求访问权限的一个或多个范围。
5. 点击开始演示。
6. 当系统提示时，请确认您同意或拒绝关联请求。
7. 确认您已被重定向到您的平台。